做得電腦維修，自然希望啲人嘅電腦設備唔好咁襟用，系統間唔中可以 down 下機，咁先至有生意做。但呢啲嘢通常只會諗下就算，始終維修員都有職業道德，斷唔會咁無良主動出擊，暗中整壞你部電腦或系統搏開單嘅。 陰招搵錢 不過，行業中都會有敗類，Siemens 一個前合約承包商 David Tinley，喺 2002 年接咗 Siemens 一個客製化電子試算表合約，用嚟管理公司旗下同電力供應行業有關的計劃時，就偷偷哋喺試算表入面藏下邏輯炸彈（Logic Bombs）代碼，只要達到某啲條件，例如過咗保養期一段日子，試算表就會發生故障，於是乎 Siemens 就會搵 David 去搞返掂。 十幾年過去，David 埋下嘅邏輯炸彈已經發作過幾次，Siemens 亦一如佢所料，次次都搵佢修復。不過去到…

上回講到修讀 VTC 資訊及網絡安全高級文憑(Diploma)課程，是成為資安新人王的捷徑。但對於一些已從事其他行業有一段日子，但又有興趣「中途轉機」、加入資安行業的在職人士，又有哪一個課程是入行踏腳石？答案可在 HKUSPACE 課程找到。 香港大學專業進修學院（HKU School of Professional and Continuing Education, HKUSPACE）已經辦學60年，其前身是香港大學學外課程，而現在已獨立為一家非牟利擔保有限公司的教育機構。截至2016年，已有282萬人次報讀學院課程，其中有關資訊科技和資訊保安的課程，在這十多年間大受歡迎，每年課程的學額都是供不應求，課程種類繁多，包括資訊保安的深造文憑、理學士、碩士課程，任君選擇。中學畢業人士可申請就讀資訊科技深造文憑課程（Postgraduate Diploma in Information Technology），這兼讀課程的部分學費可以申請CEF（持續進修基金），成功達標者可得到基金資助 80% 學費津貼，而從 2019…

上文提到，權要有限。那麼職責呢？要分。權要限、職要分，夠鐘要放工，得閒要睇 wepro180。 在系統中，有一條重要保安原則：職責分離。在系統及流程中，要把重要功能、職責拆開。在流程中，申請新帳號或者IT服務者，與批准者，須是不同的人。又如有 D 公司將一個超級帳號密碼拆開前後兩截，一人管一截（有 D 似古代果 D 虎符）。又如寫程式的人，不可以把程式直接安裝入系統，要透過另一個團隊。以上這些職責分離，目的是要減少差錯及舞弊。文藝一些講：避免監守自盜。 （再文藝一些…在歷史中，這些職責分離比比皆是，例如中國的皇權與相權的分離、唐代的三省制，以至謀與斷的分工、三權分立等，都有古仔可以講。） 講到呢度，就可以明白，保安系統設計要嚴密，須要包括：有各系統權限的人，他們的職責是否有合理的分離。所以，大機構的 SIEM / Log Management 要求完備，因為要有足夠的 Audit Trails 去審計各程交易 (Transactions)…